Clash iOS 訂閱無法更新？Wi‑Fi 與憑證權限逐步修復
在 iPhone 或 iPad 上使用 Clash 系用戶端時，最常見的挫折往往不是「不會用介面」，而是訂閱怎麼拉都失敗、節點清單不更新，或是連上 Wi‑Fi 才正常、一換成行動網路就卡住。iOS 的沙盒、VPN 架構與憑證信任鏈和 Android／桌面版不同；本文用「先分網路、再分憑證與描述檔、最後看 App 權限」的順序，協助您把問題收斂到可修復的具體步驟。
常見現象：訂閱更新失敗與「只有 Wi‑Fi 才正常」
使用者實際遇到的描述大致可分成三類。第一類是明確的更新失敗：按下更新後長時間轉圈、顯示逾時、TLS／SSL 相關錯誤，或提示無法連線到訂閱主機。第二類是靜默失敗：介面沒有誇張報錯，但節點列表停留舊版本，或新匯入的設定檔遲遲不生效。第三類是網路型態依賴：同一支手機在住家 Wi‑Fi 下可以更新訂閱，走到戶外改走電信業者的行動數據就失敗；有時則相反，只有行動網路能通、公司或公共熱點 Wi‑Fi 會攔 HTTPS 或注入憑證。
這些現象背後往往不是單一原因，而是DNS 解析路徑、對外連線是否被中途攔截、系統時間是否正確、本機是否信任訂閱站或中介憑證，以及背景工作是否被省電策略掐掉等因素疊加。接下來我們用二分法，一次只改一個變因，避免「同時關 VPN、重開機、換節點」後無法判斷到底是哪一步生效。
先把問題二分：網路路徑還是系統權限
在碰憑證或描述檔之前，建議先用兩分鐘確認訂閱 URL 在系統層是否可達。請複製機場或服務商提供的 HTTPS 訂閱連結，貼到 Safari 開啟：若瀏覽器能下載或預覽到文字內容（常見為 YAML 片段或 base64 風格資料），代表在當前網路下至少 L7 的 HTTPS 握手有機會成功。若 Safari 直接顯示無法連線、憑證不受信任，或頁面被路由器／閘道替換成警告頁，則應優先處理網路環境，而不是在 App 內反覆按更新。
實務心法
同一時間只測一種網路：先關閉其他 VPN／安全類 App 的平行通道，再在「純 Wi‑Fi」與「純行動數據」各做一次 Safari 測試，比對差異。差異若與 App 無關，就能省下大量在客戶端內無效重試的時間。
Wi‑Fi 與行動數據：為什麼表現常常不同
許多場域的 Wi‑Fi 會做透明代理、DNS 劫持或針對特定網域的阻擋，導致訂閱域名解析到錯誤位址，或 TLS 憑證呈現為「本地發行的中間憑證」。相對地，行動網路通常較少做內容層注入，但可能面臨業者 NAT／CGNAT、IPv6 路徑差異，或在訊號微弱時長連線被中途重置。若您開啟 iCloud 私人轉送、第三方廣告阻擋 VPN、公司 MDM 描述檔，也可能讓「哪一張網卡通向網際網路」變得比想像中複雜。
- 低數據模式：可能延後背景更新；測試訂閱時建議暫時關閉以排除誤判。
- 行動數據權限：在「設定 → App → 您的 Clash 用戶端」確認已允許使用行動數據，而非僅限 Wi‑Fi。
- 雙 SIM／漫遊：切換數據方案時，DNS 與出口可能瞬間改變，若訂閱主機對地區敏感，可能出現間歇性失敗。
訂閱網址、HTTPS 與系統時間
Clash 系用戶端拉取訂閱本質上是對訂閱 URL 發起 HTTPS 請求。下列基礎項若不正確，後續調憑證也難以奏效。請確認訂閱連結完整複製、未夾帶空白或換行；若服務商提供多種格式，請選擇標示給 Clash／YAML 的版本。接著在「設定 → 一般 → 日期與時間」開啟自動設定：行動裝置時間若快／慢超過數分鐘，TLS 憑證的有效期驗證會失敗，表現為莫名其妙的連線中斷。
安全提醒
不建議為了「先拉下來再說」而長期關閉憑證驗證或安裝來路不明的根憑證。若必須暫時繞過驗證以定位問題，請在確認訂閱來源可信後再行，並在完成匯入後恢復較嚴格的設定。
描述檔、VPN 與 Clash 用戶端的關係
iOS 上多數 Clash 系客戶端會透過 Network Extension 建立本機 VPN 通道以轉發流量。這與「設定 → 一般 → VPN 與裝置管理」裡看到的 VPN 項目相關，但不完全等於您在電腦上熟悉的 TUN 行為。部分進階功能或內部 HTTPS 攔截／MITM 教學會要求額外安裝描述檔以匯入自簽 CA；若您曾依教學安裝過，請在「設定 → 一般 → 關於本機 → 憑證信任設定」檢查是否啟用完整信任。未完整信任的根憑證會導致應用程式仍拒絕與特定主機握手，表現為訂閱更新失敗或部分網域打不開。
若裝置上同時存在多個 VPN 類 App（包含企業內網 VPN、防毒、家長監護），可能出現誰先佔用延伸模組或路由表互相覆寫的情況。排查時可暫時停用其他 VPN，僅保留 Clash 用戶端再試一次訂閱更新；若因此恢復正常，再逐一加回其他服務以找出衝突組合。
憑證安裝與「完整信任」
當 Safari 或 App 提示憑證不受信任、或您確認訂閱站使用自簽／私有 CA 時，請在安裝描述檔後多走一步：前往「設定 → 一般 → 關於本機 → 憑證信任設定」，針對該根憑證開啟信任開關。僅「已安裝描述檔」但未開啟信任，在許多場景下等同於憑證仍未被系統接受。若您不確定某描述檔用途，建議先移除再測試訂閱拉取，以免陳舊或測試用的 CA 干擾正常 HTTPS。
建議操作順序（憑證相關）
- 在 Safari 驗證訂閱 URL 的錯誤訊息是否與憑證有關。
- 檢查是否安裝多餘的描述檔；可移除後重開機再試。
- 若確需自簽 CA，安裝後務必完成「完整信任」。
- 回到 App 內單次更新訂閱，避免連續快速重試觸發頻率限制。
App 權限與背景 App 重新整理
即使前台手動更新成功，部分使用者仍會遇到排程更新不跑或切到背景很久後才失敗。iOS 會依電池狀態、使用頻率與系統負載調度背景工作。請在「設定 → 一般 → 背景 App 重新整理」確認您的 Clash 用戶端未被關閉；並在「設定 → 電池」檢視該 App 是否被標記為低活躍而遭積極節能。這與 Android 上「允許背景活動」類似，只是介面用語改為蘋果的背景 App 重新整理說法。
若您從 TestFlight 或側載管道安裝開發版，背景行為可能與正式版不同；排查時可改以手動更新訂閱作為對照基準，先確保手動路徑穩定，再觀察背景更新是否仍異常。
僅 Wi‑Fi（或僅行動網路）可用時的對照排查
下表整理常見成因與優先檢查項，可依您實際觀察到的「哪一種網路正常」快速跳轉處理。
| 觀察 | 優先懷疑 | 建議動作 |
|---|---|---|
| 僅 Wi‑Fi 可更新 | 行動數據權限、業者路由、雙 SIM 設定 | 檢查 App 行動數據開關；暫關低數據模式；單卡測試 |
| 僅行動網路可更新 | 路由器 DNS／攔截、公共熱點登入頁 | 換 DNS 或改用手機熱點對照；完成 Captive Portal 登入 |
| 兩者皆失敗 | 訂閱 URL、系統時間、憑證鏈、其他 VPN | Safari 開連結；校時；關閉其他 VPN 再試 |
| 偶發失敗 | 訂閱伺服器限流、訊號波動、背景被延後 | 拉長重試間隔；接電源再試背景更新 |
常見問題
更新顯示成功但節點沒變？
可能是快取未刷新或目前啟用的設定檔並非您剛更新的那一個。請在 App 內確認使用中設定檔名稱，並嘗試切換規則模式後再載入；若客戶端支援檢視訂閱最後拉取時間，請核對是否與您操作時間一致。
與 DNS 有關嗎？
有。訂閱域名若被污染或解析到錯誤 IP，HTTPS 可能連到錯誤主機而失敗。可參考站內 《Clash 顯示已連接卻無法上網？DNS 洩漏與 fake-ip 逐步排查》 的心法：先區分是「解析錯」還是「出口被封」。桌面與 iOS 設定介面不同，但先驗證域名在當前網路下解析結果是否合理的原則相通。
和 Mac 上 Verge／Meta 客戶端差在哪？
macOS 可選系統擴展、Helper、TUN 等組合，權限提示路徑也不同。若您已在 Mac 跑通訂閱，可閱讀 《Clash Verge Rev macOS 首次設定》 對照「訂閱貼了仍像沒效」的驗證方式；回到 iOS 則改以 Safari 與系統 VPN／描述檔為主軸排查。
實作檢查清單
- Safari 直接開啟訂閱 URL，記錄錯誤類型（連線／憑證／內容）。
- 分別在 Wi‑Fi 與行動數據下各測一次，比對差異。
- 確認日期與時間為自動設定，時區正確。
- 檢查行動數據權限、低數據模式、背景 App 重新整理。
- 暫停其他 VPN／安全類 App，排除延伸模組衝突。
- 檢視描述檔與憑證信任設定，移除不需要的 CA。
- 在 App 內單次手動更新，避免短時間內重複請求。
同場加映：Android 與桌面版訂閱排查
若您同時使用多種裝置，Android 上常見的匯入與 SSL 問題可參考 《Clash Android 訂閱匯入失敗？逐項排查與修復指南》。iOS 與 Android 的權限名稱不同，但「先驗 URL、再驗憑證與網路」的順序仍然適用。